🇰🇷 한글 설명
Contact Form 7, WPforms, Elementor forms WordPress 플러그인 1.5.2 미만 버전에서 PHP 역직렬화 취약점이 발견되었습니다. 인증되지 않은 사용자가 악의적인 PHP 객체를 주입할 수 있으며, 관리자가 저장된 항목을 조회할 때 임의의 코드가 실행될 수 있습니다. 이는 이전 취약점(CVE-2025-7384, CVE-2026-2599)의 불완전한 수정으로 인해 발생한 문제입니다.
💡 쉬운 설명
해커가 가짜 양식 데이터를 보내 관리자의 화면에서 악성 코드가 실행되게 만드는 보안 구멍입니다. 관리자가 문의 내용을 확인하는 순간 해커가 의도한 명령이 컴퓨터에서 작동할 수 있습니다.
🇺🇸 원문 (English)
The Database for Contact Form 7, WPforms, Elementor forms WordPress plugin before 1.5.2 does not restrict the PHP classes allowed when unserializing an attacker-supplied form-field value, allowing unauthenticated users to inject arbitrary PHP objects that are instantiated when an administrator views the stored entry. This is an incomplete fix of CVE-2025-7384 and CVE-2026-2599, whose deserialization paths were hardened while the entry-editor file-field path was missed.
📍 영향받는 시스템
WordPress plugins: Contact Form 7, WPforms, Elementor forms (version < 1.5.2)
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 PHP 객체가 포함된 폼 필드 값을 전송하여 관리자의 데이터 조회 시 실행 유도
🛡️ 대응 방법
해당 플러그인들을 최신 버전(1.5.2 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록 중 대상 플러그인의 버전이 1.5.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'contact-form-7|wpforms|elementor-pro'